Hackers exploram falha no Siemens Software Center para instalar malware
A Siemens corrigiu uma vulnerabilidade de alta gravidade no Siemens Software Center que estava sendo explorada em ataques ClickFix para distribuir um trojan de acesso remoto (RAT). A falha permite a execução de código malicioso por meio da técnica de DLL sideloading, que explora o carregamento de bibliotecas DLL por aplicações legítimas.
Identificada como CVE-2026-110936, a vulnerabilidade recebeu pontuação 8,4 no CVSS v4.0. O problema ocorre porque o software carrega bibliotecas de vínculo dinâmico (DLLs) a partir de caminhos de pesquisa não controlados, permitindo que um invasor local autenticado insira arquivos especialmente preparados para executar código com os mesmos privilégios da aplicação.
A correção foi disponibilizada na versão 4.0.9.8 do Siemens Software Center. A descoberta foi atribuída ao pesquisador Jose Oregon, da Huntress Labs.
Em um alerta separado, a Siemens explicou que os invasores utilizaram uma cópia legítima e assinada digitalmente do Siemens Software Center, posicionando uma DLL maliciosa chamada archive.dll no mesmo diretório do executável.
Segundo a empresa, a versão 3.5.8.7, que era a mais recente na época dos ataques, carregava arquivos auxiliares de sua própria pasta sem verificar sua integridade. Essa característica permitiu que os hackers utilizassem o programa confiável como intermediário para executar código malicioso.
A cadeia de ataque identificada envolve o uso de msiexec.exe para iniciar o instalador AllMyBasic.msi, responsável por executar o SiemensSoftwareCenter.exe. A atividade foi associada à plataforma ClickFix chamada Romulus, recentemente analisada pela Forescout por sua utilização na distribuição do Legion Loader e de outros malwares.
De acordo com a Huntress, algumas dessas campanhas também utilizaram GPTs personalizados maliciosos no ChatGPT para direcionar vítimas a endereços fraudulentos. Nessas páginas, os usuários encontravam instruções ClickFix que os induziam a copiar e executar comandos no próprio computador.
Quando executados, os comandos acionavam scripts PowerShell para baixar um instalador MSI. O arquivo explorava a técnica de DLL sideloading para instalar um trojan de acesso remoto, permitindo aos invasores controlar o sistema comprometido.
A Siemens divulgou três indicadores de comprometimento (IoCs) associados à campanha:
96.62.218[.]59 — hospedagem de payloads e comunicação de comando e controle (C2).
wizardexpensive[.]com — hospedagem de payloads e comunicação C2.
2.27.248[.]127 — canal de distribuição do instalador AllMyBasic.msi.
Para reduzir os riscos, a Siemens recomenda atualizar o Software Center para a versão 4.0.9.8 ou posterior e iniciar a aplicação para aplicar a atualização.
As organizações também devem bloquear os endereços IP e domínios maliciosos identificados, além de investigar execuções de SiemensSoftwareCenter.exe a partir do diretório AppData\Local\Programs, especialmente quando o processo for iniciado por msiexec.exe.
A campanha combina engenharia social, abuso de software legítimo e execução de DLLs maliciosas, utilizando aplicações assinadas digitalmente para facilitar a instalação de ferramentas de acesso remoto.
